Kurs: 6425: Rešavanje problema i konfiguracija Windows Server 2008 Active Directory Domain servisa
Modul: Implementacija aktivnog direktorijuma direktorijumskog servisa
Autor: Test Instruktor
Naziv jedinice: Uklanjanje AD DS
Materijali vezani uz ovu lekciju:
-
Test uklanjanje ad ds -
Uklanjanje AD DS (PDF dokument)
AD DS se uklanja sa domenskog kontrolera pokretanjem iste komande koju smo iskoristili za instalaciju - dcpromo.exe. Kada startujemo ovu komandu na kompjuteru koji je već domenski kontroler, Active Directory Domain Services Installation Wizard nas obaveštava da će u nastavku deinstalirati AD DS. Ova sekcija diskutuje o uklanjanju AD DS sa poslednjeg domenskog kontrolera i sa dodatnog domenskog kontrolera u Server 2008 domenu.
Kada uklanjamo AD DS sa domenskog kontrolera, potrebno je upisati dcpromo u Run dijalog boksu. Prva informacija koju moramo da prosledimo čarobnjaku dcpromo je: da li je ovaj domenski kontroler poslednji domenski kontroler u domenu ili nije.
Nakon potvrde o uklanjanju Application Directory particije, postaviće nam se pitanje da upišemo novu lozinku za lokalni administratorski nalog. Na kraju, potrebno je da pregledamo Summary stranicu i da završimo uklanjanje AD DS. Moraćemo da restartujemo kompjuter da bismo završili kompletan proces. Nakon restartovanja kompjutera, server će dobiti ulogu Member servera ili Stand-alone servera.
Uklanjanje dodatih domenskih kontrolera
Uklanjanje AD DS sa dodatnih domenskih kontrolera nije tako kompleksan proces kao što je to uklanjanje AD DS sa poslednjeg domenskog kontolera u domenu ili u šumi. Ovo je zbog toga što su replike Directory Partitions-a smeštene na drugim domenskim kontrolerima, tako da nijedan Directory podatak nije izgubljen. Ipak, podaci u Application Partitions će biti obrisani u toku uklanjanja AD DS, tako da moramo da budemo sigurni da nam Application Prtitions nije potreban nakon uklanjanja AD DS-a. Ili, da izaberemo drugi DC u domenu koji će biti replika Application particija. Nakon uklanjanja AD DS-a će uslediti nekoliko promena na domenskom kontroleru:
- Uloga Operation Master se prebacuje na drugi domenski kontroler u domenu. Ipak, da bismo bolje kontrolisali smeštanje FSMO - Flexible Single Master Roles uloga u našem okruženju a o kojima će biti reči kasnije u kursu, potrebno je da ručno odradimo transfer FSMO uloga pre uklanjanja uloge DC.
- SYSVOL folder i sav njegov sadržaj se uklanjaju sa domenskog kontrolera.
- NTDS Settings Object & Cross-references će biti uklonjene.
- DNS se ažurira da bi uklonio SRV zapis za domenski kontroler.
- Kreira se lokalna SAM - Secutrity Accounts Manager baza podataka kako bi obrađivala Lokalnu sigurnosnu polisu.
- Svi servisi Aktivnog direktorijuma koji se startuju nakon instalacije AD DS ( kao što je Net Logon) su stopirani.
Uklanjanje poslednjeg domenskog kontrolera
Kao dodatak svim interesantnim stvarima koje se događaju nakon uklanjanja dodatnih domenskih kontrolera, specifični događaji se dešavaju kada uklanjamo poslednji domenski kontroler u domenu ili šumi. Najvažnija činjenica je da se proces uklanjanja poslednjeg domenskog kontrolera koristi istovremeno i za uklanjanje samog domena. Ako je domenski kontroler poslednji u šumi, i domenska šuma će takođe biti uklonjena. Pored događaja koji dolaze sa uklanjanjem poslednjeg domenskog kontrolera u domenu dešavaju se i sledeći događaji:
- Active Directory Domain Services Installation Wizard proverava da li postoji možda još koji dete domen (child domain - poddomen). Uklanjanje AD DS će biti onemogućeno ako je pronađen još neki postojeći poddomen.
- Ako je domen koji uklanjamo poddomen (child domain), kontaktiraće se domenski kontroler u roditeljskom domenu (parent domain) a promene će biti replicirane na taj domenski kontroler.
- Svi objekti koji se odnose na taj domen će biti uklonjeni iz šume.
- Svi Trusted objekti u roditeljskom domenu će biti uklonjeni.
Na kraju, nakon što je AD DS uklonjen, tip kompjuterskog naloga će biti promenjen iz Domain Controller u Member Server. Server će tada biti smešten u Work grupu pod imenom Workgroup.
Kako bi uklonili poslednji domenski kontroler u poddomenu ili u Tree-root domenu, moramo da budemo prijavljeni ili kao Administrator ili kao član grupe Domain Admins.
Uklanjanje AD DS sa poslednjeg domenskog kontrolera u domenu i/ili šumi domena pomoću grafičkog interfejsa - dcpromo.exe
1. U dijalogu Run upisati dcpromo.exe (Slika 1)
Slika 1
2. Prvi korak instalacionog čarobnjaka dcprmo.exe nas obaveštava da je na ovom kompjuteru već instalirana uloga AD i da će ovaj čarobnjak u nastavku deinstalirati ovu ulogu (Slika 2).
Slika 2
3. Sledi obaveštenje da se na ovom domenskom kontroleru nalazi uloga Global catalog i da je ona neophodna za autentifikaciju korisnika, kao i da je potrebno da je premestimo na drugi DC ukoliko želimo ona da ostane na raspolaganju članovima domena (Slika 3).
Slika 3
4. U ovom koraku deinstalacije AD DS je potrebno da naznačimo da li je reč o poslednjem domenskom kontroleru u domenu, što je to slučaj u ovom primeru, pa smo zato čekirali opciju Delete the domain because this server is the last domain controller in the domain. U nastavku stoji upozorenje da će deinstalacijom AD DS uloge sa ovog servera biti eliminisan i sam domen kao i da će svi nalozi kompjutera i korisnika biti obrisani. Takođe, svi kompjuteri koji su članovi ovog domena neće više biti u stanju da se loguju u domen, niti će biti u stanju da koriste domenske resurse. Isto tako, biće obrisani svi kriptografski ključevi i preporučeno je da se pre uklanjanja domena oni eksportuju na neku drugu lokaciju, tj. drugi kompjuter i da se dešifruju svi šifrovani podaci EFS-om (Encrypting File System) kao što su mejlovi, jer će u suprtnom ti podaci biti zauvek izgubljeni (Slika 4).
Slika 4
5. U sledećem koraku su navedene Application Directory Partitions koje će biti obrisane (slika 5).
Slika 5
6. Budući da se deinstalacijom AD DS-a gube svi korisnički i kompjuterski nalozi, potrebno je navesti novu lozinku lokalnog administratorskog naloga (Slika 6)
Slika 6
7. Poslednja tri koraka dcpromo.exe prilikom deinstalacije uloge AD DS sa poslednjeg domenskog kontrolera u domenu/šumi domena nam pružaju sumarni pregled operacija koje su izvršene, a koje se pomoću dugmenta Export mogu prebaciti u tekstualni fajl koji se kasnije može koristiti u svojstvu answer fajla prilikom instalacije identičnog domenskog kontrolera. Slede obaveštenja da je: Uloga AD DS uklonjena sa ovog računara, da je ovo poslednji domenski kontroler u domenu i da njegovim uklanjanjem prestaje postojanje domena, koji je u ovom slučaju nazvan test.rs, da će sve Application directory partitions biti uklonjene sa ovog domenskog kontrolera kao i da je to poslednja replika Application directory partitions (slika 7a) nakon čega sledi operacija uklanjanja AD DS (slika 7b) i završno obaveštenje o uklonjenoj ulozi (Slika 7c).
Slika 7a
Slika 7b
Slika 7c
Primorano (Forced) uklanjanje Windows Server 2008 domenskog kontrolera
Ovo je nova karakteristika u Windows Server 2008 koja pruža mogućnost da prisilno uklonimo domenski kontroler, čak i ako je startovan u Directory Services Mode-u. Ova karakteristika je posebno korisna ako domenski kontroler nema konektivnost sa drugim domenskim kontrolerima. Zato što domenski kontroler ne može da kontaktira druge domenske kontrolere u toku operacija, AD DS Forest Metadata se ne ažurira automatski kao prilikom normalnog uklanjanja domenskog kontrolera. Umesto toga, moramo ručno da ažuriramo Forest Metadata nakon uklanjanja domenskog kontrolera.
Prisilno uklanjanje domenskog kontrolera se izvršava na dva načina: Preko komandne linije ili korišćenjem Answer File-a. Da biste prisilno uklonili ulogu AD DS sa Windows Server 2008 domenskog kontrolera korišćenjem grafičkog korisničkog Interface-a, potrebno je uraditi sledeće korake:
-
U komandnoj liniji, upišemo dcpromo /forceremoval i kliknemo na Enter.
-
Ako domenski kontroler Host-uje bilo koju FSMO ulogu, ili ako je DNS server, ili globalni katalog GC server, pojaviće će se poruka greške koja objašnjava da će prisilno uklanjanje imati uticaj na ostatak okruženja. Nakon detaljnog čitanja svakog upozorenja kliknemo na Yes.
-
U Welcome to the Active Directory Domain Services Installation Wizard stranici, kliknemo na Next.
-
Na Force to Removal Of Active Directory Domain Services stranici, potrebno je da pregledamo informacije o prisilnom uklanjanju AD DS i Metadata čišćenju svih zahteva. Kliknemo na Next.
-
Na Administrator Password stranici, upišemo i potvrdimo sigurnu lozinku za lokalni administratorski nalog i kliknemo na Next.
-
Na Summary stranici, pregledamo selekcije u čarobnjaku. Kliknemo na dugme Back ako želimo nešto da naknadno promenimo.
-
Kliknemo na dugme Next da bismo uklonili AD DS.
-
Na kraju moramo da restartujemo kompjuter da bismo završili uklanjanje AD DS.
Komanda dcpromo koristi iste parametre koje biste koristili u nenadgledanoj (unnatended) operaciji deinstalacije. Sledeća tabela daje detaljan opis opcija za uklanjanje uloge AD DS sa servera:
|
Parametar
|
Moguće vrednosti
|
Podrazumevana vrednost
|
Opis
|
|
/Administrator-
Password
|
n/a
|
n/a
|
Postavlja lokalni administratorski nalog za kompjuter tokom otklanjanja domenskog kontrolera.
|
|
/DemoteFSMO
|
Yes | No
|
No
|
Ukazuje na to da bi primorano uklanjanje domenskog kontrolora trebalo da se nastavi, čak i ako je uloga operations master instalirana na tom domenskom kontroleru.
|
|
/DNSDelegation-
Password
|
password | *
|
n/a
|
Naznačava lozinku - password ime korisnika koji bi trebao da kreira ili ukloni DNS delegiranje. Navedite * kako bi korisnik uneo svoje podatke.
|
|
/DNSDelegation-
UserName
|
n/a
|
n/a
|
Naznačava ime korisnika koji se koristi kada se kreira ili ukljanja delegiranje DNS.
|
|
/IgnoreIsLastDcIn-
DomainMismatch
|
Yes | No
|
No
|
Ukazuje na to da li da se nastavi sa deinstalacijom domenskog kontrolera kada je naveden svič
/IsLastDCInDomain:Yes
i kada Dcpromo detektuje da postoji još neki aktivni domenski kontroler u domenu, ili ako je naveden svič
/IsLastDCInDomain:No is specified a Dcpromo ne može da kontaktira nijedan drugi domenski kontroler u domenu.
|
|
/IgnoreIsLast-
DNSServerForZone
|
Yes | No
|
No
|
Naznačava da se nastavi sa uklanjanjem domenskog kontrolera čak i ako je na domenskom kontroleru poslednji DNS server za jednu ili više DNS zona integrisanih u Aktivni Direktorijum.
|
|
/IsLastDCInDomain
|
Yes | No
|
No
|
Ukazuje na to da li je kompjuter na kome se vrši deinstalacija AD posledni domenski kontroler u domenu.
|
|
/Password
|
Password | *
|
n/a
|
Naznačava lozinku za odgovarajući korisnički nalog koji je korišćen za promociju u domenskog kontrolera. Stavite * kako bi kompjuter tražio korisniku da unese svoje podatke.
|
|
/RebootOn-
Completion
|
Yes | No
|
Yes
|
Ukazuje na to da li da se računar restartuje nakon završetka procesa bez obzira na uspeh.
|
|
/RebootOnSuccess
|
Yes | No |
NoAndNo-
PromptEither
|
Yes
|
Ukazuje na to da li da se računar restartuje nakon završetka procesa ukoliko je operacija uklanjanja uspešno izvedena.
|
|
/RetainDCMetadata
|
Yes | No
|
No
|
Zadržava metapodatke domenskog kontrolera u domenu nakon što se sa njega deinstalira uloga AD DS a kako bi se dozvolilo delegiranim admnistratorima da uklone
AD DS sa RODC-a.
|
|
/Remove-
ApplicationPartitions
|
Yes | No
|
No
|
Ukazuje na to da li da se uklone svi zapisi za šumu u kojoj je bio domen kontroler i ovo se obično sprovodi na poslednjem domenskom kontroleru u šumi.
|
|
/RemoveDNSDelegation
|
Yes | No
|
Yes
|
Naznačava da li da se uklone DNS delegiranja koja ukazuju na ovaj DNS server iz roditeljske DNS zone.
|
|
/UserDomain
|
domain_
name
|
n/a
|
Specifies the domain name for the user
name (account credentials) used for
promoting a domain controller.
|
|
/UserName
|
Domain\
user_name
|
n/a
|
Ukazuje na korisničko ime - nalog koji je korišćen za promociju Domenskog Kontrlera. Preporučeno je da se ovaj podatak upiše u formatu domen\ime_korisnika.
|
n/a - not applicable - nije primenjivo
